Ukryty backdoor w tanich routerach! Chiny mogły podsłuchiwać tysiące użytkowników na całym świecie

Cyberbezpieczeństwo w naszych domach i firmach po raz kolejny zostało wystawione na ciężką próbę. Eksperci z firmy VulnCheck natrafili na niebezpieczne, fabrycznie wbudowane tylne furtki w routerach produkowanych przez chińskiego giganta OEM, firmę Shenzhen Zhibotong Electronics (ZBT). Sprzęt ten, sprzedawany na całym świecie pod dziesiątkami bardziej i mniej znanych marek, pozwala hakerom na przejęcie pełnej kontroli nad siecią bez wiedzy użytkownika.

Niebezpieczne OEM: Jak nieświadomie kupujemy chińskiego „trojana”?

Rynek sprzętu sieciowego obfituje w tzw. urządzenia OEM (Original Equipment Manufacturer). Firma ZBT tworzy routery, na które inne marki po prostu naklejają własne logo. Z tego rozwiązania powszechnie korzystają małe firmy dostarczające Internet, sieci hotelowe oraz producenci przenośnych routerów podróżnych.

Dla nieświadomego konsumenta stanowi to ogromne zagrożenie. Kupując tanie urządzenie od lokalnej lub mniej znanej marki, w rzeczywistości instalujemy w domowym centrum sieciowym sprzęt z niebezpiecznym, zmodyfikowanym oprogramowaniem. Co gorsza, system tych urządzeń bazuje na popularnym, otwartoźródłowym OpenWrt, który inżynierowie ZBT zmodyfikowali tak, by zaimplementować w nim ukryty kod szpiegujący.

Trzy groźne tylne furtki: Jak działają Endlessdoors, Darklantern i Speakingstone?

Analitycy z VulnCheck rozpoczęli śledztwo od zakupu niepozornego mobilnego routera za około 88 dolarów (ok. 330 zł). Dokładna analiza kodu firmware’u wykryła aż trzy niezależne mechanizmy pozwalające na nieautoryzowany dostęp z zewnątrz.

• Endlessdoors: Kod uruchamia się automatycznie przy starcie routera, nawiązuje stałe połączenie ze zdalnymi serwerami w Chinach i potulnie czeka na wydanie dowolnych poleceń z zewnątrz.
• Darklantern: Otwiera dedykowany port sieciowy i przyjmuje komendy bezpośrednio z internetu, a jego szczątkowe zabezpieczenia można z łatwością obejść.
• Speakingstone: Działa najagresywniej, regularnie wysyłając szczegółowe dane o urządzeniu i strukturze sieci do zewnętrznej infrastruktury.

Dzięki przejęciu jednej z nieużywanych domen zapisanych w kodzie „Speakingstone”, badaczom udało się błyskawicznie namierzyć niemal 400 zainfekowanych routerów działających w sieci w danej chwili.

Absurdalne tłumaczenia producenta i realne ryzyko

Wywołana do tablicy firma ZBT próbowała tłumaczyć obecność szkodliwego kodu potrzebami „technicznego wsparcia posprzedażowego”. W świecie cyberbezpieczeństwa, pozostawianie otwartych, niezabezpieczonych furtek dla celów serwisowych jest jednak uważane za skrajną nieodpowiedzialność. Pozwala to dowolnemu podmiotowi na uzyskanie pełnego dostępu do uprawnień roota, przechwytywanie danych, a nawet modyfikowanie ruchu sieciowego bez wiedzy właściciela.

Przypadek routerów ZBT pokazuje, jak ryzykowne bywa kupowanie najtańszych urządzeń sieciowych pochodzących od nieprzejrzystych dostawców OEM. Jeśli korzystasz z routera dostarczonego przez mniejszego dostawcę Internetu lub używasz budżetowego mobilnego punktu dostępowego bez wyraźnego wsparcia aktualizacjami, warto sprawdzić identyfikator producenta. W przypadku wykrycia oprogramowania ZBT, najbezpieczniejszym krokiem pozostaje natychmiastowa wymiana sprzętu na model renomowanej marki.